EU AI Act: Zeitplan und Fristen 2024–2027 (Stand 2026)
Der EU-AI-Act-Zeitplan staffelt die Geltung der KI-Verordnung (EU) 2024/1689 über mehrere Jahre: Inkrafttreten am 1. August 2024, Verbote und KI-Kompetenz seit 2. Februar 2025, GPAI-Pflichten seit 2. August 2025, allgemeine Geltung ab 2. August 2026 und Hochrisiko-Pflichten gestaffelt bis 2028.
Auf einen Blick
- ✓Die KI-Verordnung (EU) 2024/1689 ist am 1. August 2024 in Kraft getreten; ihre Pflichten gelten gestaffelt über Übergangsfristen verteilt bis 2028.
- ✓Rechtlich verbindlich und bereits scharf: Verbote (Art. 5) und KI-Kompetenz (Art. 4) seit 2. Februar 2025, GPAI-Pflichten (Art. 51–55) seit 2. August 2025.
- ✓Der Digital Omnibus (politische Einigung 7. Mai 2026) verschiebt die meisten Hochrisiko-Pflichten: Annex III auf 2. Dezember 2027, Annex I auf 2. August 2028 — provisorisch, formelle Annahme bis 2. August 2026 vorausgesetzt.
- ✓Solange der Digital Omnibus nicht formell im Amtsblatt verkündet ist, bleibt der ursprüngliche 2. August 2026 das rechtlich verbindliche Default-Datum für Art. 26, Art. 27 (FRIA) und Art. 50.
- ✓Art. 4, Art. 5, die GPAI-Regeln, das Bußgeld-Regime und die Art.-50-Kennzeichnung (technische Lösungen bis 2. Dezember 2026) werden durch den Omnibus NICHT verschoben.
- ✓Bußgelder reichen bis 35 Mio. Euro oder 7 % des weltweiten Jahresumsatzes (Art. 5); KI-Kompetenz-Verstöße bis 7,5 Mio. Euro oder 1,5 %.
Der EU-AI-Act-Zeitplan staffelt die Geltung der KI-Verordnung (EU) 2024/1689 über mehrere Jahre: Inkrafttreten am 1. August 2024, verbotene Praktiken und KI-Kompetenz seit 2. Februar 2025, GPAI-Pflichten seit 2. August 2025, allgemeine Geltung ab 2. August 2026 und Hochrisiko-Pflichten gestaffelt bis 2028. Für AI-Agent-Projekte entscheidend ist, verbindliche von provisorischen Daten zu trennen.
- Bereits scharf: Verbote (Art. 5) und KI-Kompetenz (Art. 4) seit 2. Februar 2025; GPAI-Pflichten (Art. 51–55) seit 2. August 2025 — rechtlich verbindlich, nicht verschoben.
- Nächster harter Termin: 2. August 2026 — Betreiberpflichten (Art. 26), Grundrechte-Folgenabschätzung (Art. 27), Transparenz (Art. 50) und das volle Bußgeld-Regime.
- Verschoben, aber provisorisch: Hochrisiko-Pflichten nach Annex III auf 2. Dezember 2027, nach Annex I auf 2. August 2028 — Stand 2026, vorbehaltlich Änderung durch den Digital Omnibus.
Rechtsgrundlage und Inkrafttreten
Der EU AI Act ist die Verordnung (EU) 2024/1689 des Europäischen Parlaments und des Rates vom 13. Juni 2024 zur Festlegung harmonisierter Vorschriften für künstliche Intelligenz. Sie wurde am 12. Juli 2024 im Amtsblatt veröffentlicht und ist am 1. August 2024 in Kraft getreten. Als unmittelbar geltende Verordnung gilt sie in allen EU-Mitgliedstaaten ohne nationale Umsetzung. Mit dem Inkrafttreten begann lediglich die Uhr zu laufen — unmittelbare Pflichten entstanden noch nicht.
Der eigentliche Mechanismus steckt in Art. 113: Die KI-Verordnung schaltet ihre Pflichten in mehreren Wellen scharf. Genau diese gestaffelten AI-Act-Fristen machen den Zeitplan für Entscheider relevant, denn je nach Rolle (Anbieter, Betreiber, GPAI-Provider) und Risikoklasse gilt ein anderes Datum.
Die Meilenstein-Tabelle: KI-Verordnung Zeitplan im Überblick
Die folgende Übersicht zeigt jeden Geltungstermin nach Art. 113, inklusive der Anpassungen durch die politische Einigung zum Digital Omnibus vom 7. Mai 2026. Provisorische Daten sind klar gekennzeichnet.
Datum | Was gilt | Wen es betrifft |
|---|---|---|
| Inkrafttreten der KI-Verordnung | Alle — Uhr startet, noch keine Pflicht |
| Kapitel I (allgemein) + Art. 4 KI-Kompetenz + Art. 5 Verbote | In Kraft — jeder Betreiber, unabhängig von der Risikoklasse |
| Kapitel V GPAI (Art. 51–55), Governance (AI Office, AI Board), Großteil der Bußgeldvorschriften (außer Art. 101 GPAI-Bußgelder) | In Kraft — alle Agent-Stacks auf Basis von Fremdmodellen |
| Kommissions-Leitlinien zur Hochrisiko-Einstufung (Art. 6(5)) fällig | Ursprünglich fällig, Stand Mai 2026 noch ausstehend |
| Art. 26 Betreiberpflichten, Art. 27 FRIA, Art. 50 Transparenz, Art. 73 Meldepflicht, volles Bußgeld-Regime (Art. 99/101) | Ursprüngliches Datum — teils vom Omnibus überholt |
| Frist für technische Kennzeichnung/Wasserzeichen nach Art. 50 | Anbieter generativer Inhalte; Wasserzeichen müssen funktionieren |
| Frist für GPAI-Modelle, die vor dem 2. Aug 2025 in Verkehr gebracht wurden (Art. 111(3)) | Bestands-GPAI-Modelle (Grandfathering) |
| Annex-III-Hochrisiko-Pflichten (verschoben durch Digital Omnibus) | HR-Screening-, Kredit-Scoring-, Biometrie-Agents — provisorisch |
| Annex-I-Produktsicherheits-KI (verschoben durch Digital Omnibus) | Medizinprodukte-KI, Maschinen-KI — provisorisch |
Phase 1 (seit Feb 2025): Verbote und KI-Kompetenz
Seit dem 2. Februar 2025 gelten zwei Blöcke, die jeden Betreiber treffen — unabhängig davon, ob ein System überhaupt als Hochrisiko gilt.
Erstens die verbotenen Praktiken (Art. 5): acht Kategorien, die in der EU vollständig untersagt sind. Für DACH-Unternehmen besonders relevant ist Art. 5(1)(f) — Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen (mit engen Ausnahmen für medizinische und Sicherheitszwecke). Ein HR-Analytics-Agent, der Stimmung, Konzentration oder Stress von Beschäftigten aus Video, Audio oder Biometrie ableitet, ist am Arbeitsplatz verboten. Der Digital Omnibus ergänzte am 7. Mai 2026 ein neuntes Verbot für KI-Systeme, die nicht-einvernehmliche intime Inhalte oder KI-generiertes Missbrauchsmaterial erzeugen, mit Frist zur Marktentfernung bis 2. Dezember 2026.
Zweitens die KI-Kompetenz (Art. 4): Anbieter und Betreiber müssen ein ausreichendes Maß an KI-Kompetenz ihrer Mitarbeitenden sicherstellen. Diese Pflicht gilt über alle Risikostufen hinweg, also auch für minimal-riskante interne Agents. Kein Zertifikat ist erforderlich, aber die Dokumentation des Schulungsprogramms wird erwartet — sie ist die Grundlage, auf der eine Aufsichtsbehörde Compliance prüft.
Phase 2 (seit Aug 2025): GPAI-Pflichten
Seit dem 2. August 2025 gelten die Pflichten für Anbieter von General-Purpose-AI-Modellen (Art. 51–55). Sie betreffen die Modellebene, auf der praktisch jeder moderne Agent aufsetzt. Als GPAI-Modell gilt ein Modell mit einem indikativen Trainingsaufwand ab rund 10^23 FLOP plus Sprachgenerierungs-Fähigkeit; als GPAI mit systemischem Risiko gilt es, wenn der kumulative Trainingsaufwand 10^25 FLOP überschreitet (Art. 51(2)). Bußgelder für GPAI-Anbieter (Art. 101) wurden am 2. August 2026 durchsetzbar; Bestandsmodelle, die vor dem 2. August 2025 in Verkehr gebracht wurden, haben bis 2. August 2027 Zeit zur Anpassung (Art. 111(3)).
Phase 3 (ab Aug 2026): Allgemeine Geltung und Transparenz
Der 2. August 2026 ist nach ursprünglichem Zeitplan der zentrale Stichtag für Betreiber. Hier greifen Art. 26 (zwölf operative Betreiberpflichten), Art. 27 (Grundrechte-Folgenabschätzung, FRIA), Art. 50 (Transparenz) sowie das volle Bußgeld-Regime. Für die Art.-50-Kennzeichnung gilt eine technische Übergangsfrist: Wasserzeichen und maschinenlesbare Markierungen müssen bis 2. Dezember 2026 funktionsfähig sein — diese Frist wurde durch den Omnibus von sechs auf drei Monate verkürzt.
Phase 4 (ab 2027/2028): Hochrisiko-Systeme — provisorisch
Hier wird die Unterscheidung verbindlich vs. provisorisch geschäftskritisch. Ursprünglich sollten die materiellen Hochrisiko-Pflichten am 2. August 2026 greifen. Die politische Einigung zum Digital Omnibus vom 7. Mai 2026 verschiebt sie:
- Annex III (eigenständige Hochrisiko-Kategorien wie HR, Kredit, Versicherung, kritische Infrastruktur): auf 2. Dezember 2027.
- Annex I (KI als Sicherheitsbauteil in regulierten Produkten, etwa Medizinprodukte und Maschinen): auf 2. August 2028.
Wichtig: Beide Daten sind Stand 2026, vorbehaltlich Änderung. Sie gelten erst, wenn der Omnibus vor dem 2. August 2026 formell angenommen wird. Bis zur formellen Annahme bleibt der ursprüngliche 2. August 2026 das rechtlich verbindliche Default-Datum. Genauso wichtig: Der Aufschub betrifft nur die materiellen Hochrisiko-Pflichten. Nicht verschoben werden Art. 4 (Kompetenz), Art. 5 (Verbote), die GPAI-Regeln, die Art.-50-Kennzeichnung (technische Lösungen bis Dezember 2026) sowie das Bußgeld-Regime.
Übergangsfristen und Sanktionen: ein Rechenbeispiel
Die AI-Act-Übergangsfristen entfalten erst über das Bußgeld-Regime ihre Wirkung. Die drei Stufen nach Art. 99:
Stufe | Maximales Bußgeld | Auslöser |
|---|---|---|
Stufe 1 | 35 Mio. Euro oder 7 % des weltweiten Jahresumsatzes | Verstoß gegen Art. 5 (verbotene Praktiken) |
Stufe 2 | 15 Mio. Euro oder 3 % | Verstoß gegen Art. 16 (Anbieter), Art. 25, Art. 26 (Betreiber), Art. 49 (Registrierung), Art. 50 (Transparenz) u. a. |
Stufe 3 | 7,5 Mio. Euro oder 1,5 % | Allgemeine Verstöße inkl. Art. 4 (KI-Kompetenz) und falsche Auskünfte an Behörden |
Es gilt jeweils der höhere Betrag. Konkretes Zahlenbeispiel: Ein DACH-Mittelständler mit 40 Mio. Euro Jahresumsatz und 180 Beschäftigten (KMU im EU-Sinn) setzt seit Februar 2025 ohne dokumentiertes Kompetenzprogramm einen KI-Agent ein. Ein Art.-4-Verstoß fällt in Stufe 3 — der Prozentwert ergäbe 1,5 % von 40 Mio. = 600.000 Euro, der absolute Wert 7,5 Mio. Euro. Für die Allgemeinheit der Unternehmen wäre der höhere Betrag maßgeblich, also bis zu 7,5 Mio. Euro. Für KMU und Start-ups greift jedoch die Sonderregel des Art. 99(6): Hier gilt der niedrigere der beiden Werte, im Beispiel also 600.000 Euro. Der Digital Omnibus weitet diesen Schutz (Stand 2026, vorbehaltlich Annahme) auf kleine Mid-Cap-Unternehmen (SMCs) aus. Da Art. 4 seit Februar 2025 verbindlich gilt und in jeder Routineprüfung leicht nachweisbar ist, ist dies das wahrscheinlichste reale Sanktionsrisiko für Mittelständler.
Für Agenturen und B2B-Entscheider
Die Botschaft für die Roadmap ist eindeutig: Warten Sie nicht auf den Digital Omnibus. Der Aufschub betrifft ausschließlich die materiellen Hochrisiko-Pflichten und wird erst nach formeller Annahme wirksam. Solange diese aussteht, bleibt der 2. August 2026 verbindlich. Praktiker raten einhellig davon ab, den Aufschub als Einladung zur Pause zu lesen. Marketing-Agenturen und B2B-Teams sollten jetzt zwei Dinge umsetzen: ein dokumentiertes KI-Kompetenzprogramm (Art. 4, seit Februar 2025 fällig) und eine Inventarisierung aller kundenseitigen KI-Interaktionspunkte für die Art.-50-Transparenz. Blck Alpaca unterstützt DACH-Unternehmen dabei, Agent-Stacks gegen den verbindlichen Teil des Zeitplans abzusichern und provisorische Fristen sauber von Pflichten mit Stichtag zu trennen.
Hinweis: Dieser Beitrag dient der allgemeinen Information und stellt keine Rechtsberatung dar. Für die verbindliche Einordnung Ihres konkreten KI-Einsatzes ziehen Sie bitte fachkundigen Rechtsrat heran.
Häufig gestellte Fragen
Seit wann gilt der EU AI Act?
Welche AI-Act-Fristen sind bereits rechtlich verbindlich in Kraft?
Verschiebt der Digital Omnibus den Zeitplan der KI-Verordnung?
Ab wann gelten die Pflichten für Hochrisiko-KI-Systeme?
Wie hoch sind die Bußgelder bei Verstößen gegen den EU AI Act?
Sollten Unternehmen wegen des Digital Omnibus mit der AI-Act-Vorbereitung warten?
Tiefer einsteigen?
Erhalte neue Analysen direkt ins Postfach – oder sieh dir an, wie wir dieses Wissen für Unternehmen umsetzen.